Хакеры больше года эксплуатируют уязвимость в китайских IoT-устройствах

Безответственный китайский продавец видеорегистраторов до сих пор не исправил уязвимость, уже больше года эксплуатируемую операторами IoT-ботнетов. Данная уязвимость позволяет злоумышленникам удаленно выполнить код путем отправки простого запроса и получить полный контроль над устройством.

Проблема была обнаружена в марте прошлого года исследователем Ротемом Кернером (Rotem Kerner) в прошивке продуктов китайской компании TVT. К сожалению, компания не является производителем, а лишь продавцом. То есть, вендоры покупают у нее устройства, ставят свои логотипы и продают под различными торговыми марками. Кернеру удалось выявить 70 брендов, продающих уязвимые продукты от TVT. Исследователь несколько раз безуспешно пытался связаться с компанией, однако уязвимость до сих пор остается неисправленной.

Первый крупный ботнет из устройств от TVT был обнаружен в июне 2016 года экспертами компании Sucuri, состоял из 25 тыс. ботов и использовался для осуществления DDoS-атак на уровне приложений мощностью до 50 тыс. запросов в секунду.

Согласно недавнему отчету Palo Alto Networks, устройства от TVT атакует новое вредоносное ПО Amnesia, объединяющее их в крупный ботнет для осуществления DDoS-атак. Вредонос создан на базе более старой версии Tsunami для IoT-устройств под управлением Linux. Новая модификация представляет собой первое вредоносное ПО для устройств «Интернета вещей», способное обнаруживать песочницу. До сих пор такой функцией обладали только вредоносы для Android и Windows.

Amnesia может определять, когда исследователи безопасности пытаются выполнить его на виртуальной машине. В таких случаях вредонос удаляет всю файловую систему виртуальной машины – функция, ранее не встречавшаяся исследователям.